Ejercicio práctico
Anuncio
Ejercicio práctico -­‐ 802.11 Objetivo Explorar la capa física, la capa de enlace de datos y las funciones de gestión de 802.11. La captura de ejemplo que se utilizará a lo largo de esta actividad puede encontrarse en el archivo adjunto trace-­‐80211.pcap Requerimientos Wireshark: Este laboratorio utiliza la herramienta de software Wireshark para capturar y analizar tráfico de red. Una captura de paquete es un registro del tráfico en un punto de la red para un momento determinado, como si se tomase una fotografía de todos los bits que pasaron a través de un medio en particular. La captura de paquetes añade una marca de tiempo para cada paquete, junto con los bits que componen el paquete, desde las cabeceras de la capa inferior hasta los contenidos de las capas superiores. Wireshark se ejecuta en la mayoría de sistemas operativos incluyendo Windows, Mac y Linux. Proporciona una interfaz de usuario gráfica que muestra la secuencia de paquetes y el significado de los bits cuando se interpretan, tales como cabeceras de protocolo y datos. Usa un código de colores para identificar los paquetes por su tipo, y tiene varias formas de filtrar paquetes para investigar más facilmente la conducta de los protocolos de red. Wireshark es ampliamente utilizado para solucionar problemas de red, y está disponible desde el enlace www.wireshark.org. Es muy recomendable visonar los 5 minutos del vídeo "Introducción a Wireshark" que está en ese sitio Web. Paso 1: Obtener una captura 1.1. Para esta actividad se proporciona una captura de red ya realizada que puede utilizarse con Wireshark seleccionando Open en el menú File. Ahora puede continuar con el paso 2; el resto de esta sección es meramente informativa aunque se recomienda su lectura. A diferencia de otras actividades de laboratorio, puede ser difícil realizar su propia captura por varias razones. El principal problema es que Windows carece de soporte para la captura de tramas 802.11 para la mayoría de adaptadores de red inalámbrica. Cuando se captua tráfico con Wireshark el sistema operativo considera que se realiza a través de un cable Ethernet (aunque en realidad llegue a través de una red inalámbrica) y descarta cualquier trama 802.11 sin una carga útil de datos (payload) de la capa superior (como p.e. Acknowledgements/ACK). En algunos sistemas operativos, por lo general Mac y Linux, es posible decirle al sistema operativo que capture tramas 802.11 directamente sin esta conversión. A esto se le denomina activar el "modo monitor". Si su sistema lo soporta, entonces las opciones de captura de Wireshark para su interfaz inalámbrica le permitirán seleccionar el modo monitor y establecer el formato de tráfico capturado a “802.11 plus radiotap header" en lugar de Ethernet. Un ejemplo puede verse en la figura 1. Si no hay manera de seleccionar el modo monitor, entonces su sistema probablemente no pueda capturar 802.11. 1 Figura 1: Captura de un comunicación inalámbrica con el modo monitor (Mac). Una segunda dificultad es que cuando una interfaz captura el tráfico inalámbrico en modo monitor, a menudo no está disponible para su uso regular. Esto significa que se necesitan al menos dos STA1: una STA para enviar tráfico de prueba y un segundo realizando la captura de la actividad inalámbrica. Por último, tenga en cuenta que la captura en modo monitor registrará toda la actividad inalámbrica en los alrededores, y por tanto es probable que capture tráfico no deseado de otros equipos cercanos. Este comportamiento hace más difícil observar limpiamente su propio tráfico. Si usted puede manejar estas dificultades, entonces puede realizar su propia captura inalámbrica para hacer esta práctica de laboratorio. 1 STA, del inglés STAtion o estación hace referencia al cualquier dispositivo final con un adaptador de red inalámbrico que cumple el rol de cliente inalámbrico, tales como ordenadores, Tablets, etc. 2 Paso 2: Inspeccionar la captura Para empezar, se examinará el formato de una trama 802.11. Existen diferentes tipos de tramas 802.11 que pueden capturarse; el campo Info describe el tipo de trama captura como Beacon (baliza), Probe (sondas), Data (datos) o Acknowledgement/ACK (reconocimientos o acuses de recibo). 2.1. Localice una trama de tipo Data en la captura y selecciónela. Wireshark le permitirá seleccionar una trama (desde el panel superior) y ver sus capas de protocolo, mostrar los campos de cabecera (en el panel central) y los bytes que forman el contenido de la trama (en el panel inferior). En la figura 2 puede verse la selección de una trama de este tipo. Figura 2: Inspección de una trama 802.11 de tipo Data. 3 2.2. Inspeccione las capas de protocolo (registros) incluidos en la trama y busque en el panel central la siguiente información: • Frame es un registro añadido por Wireshark con información sobre tiempo, longitud y tipo de encapsulación de la trama. No es necesario su examen. • Radiotap es también un registro creado por Wireshark para capturar parámetros de la capa física inalámbrica tales como la fuerza de la señal (SS/Signal Strength) o la modulación. Este registro se va a investigar más adelante. • IEEE 802.11 Data son los bits de la trama de datos 802.11. Este es el registro que se está buscando, y se verán sus detalles en breve. Una vez seleccionado, expanda la información como en la figura 2 para que puedan verse los campos internos en el panel central y la parte de la trama que ocupa (resaltado en el panel inferior con 28 bytes de longitud). • Data es un registro que contiene los datos de carga útil de la trama (payload), es decir, contiene la información de lo protocolos de las capas superiores como las subtramas LLC, los paquetes IP, segmentos TCP, etc. Como puede verse en la figura 2, todos las tramas capturadas muestran en la columna Protocol el valor 802.11 en lugar de protocolos de capas superiores tales como TCP. Si Wireshark puede entender el contenido de la carga útil de la trama de datos, entonces creará registros de protocolo para ellos. Sin embargo, en muchos entornos inalámbricos (como ocurre en la captura de ejemplo) el contenido de la carga útil está encriptado y aparece como un sólo registro. Es posible indicarle a Wireshark la clave de red inalámbrica utilizada para poder descifrar las cargas útiles. Sin embargo, se obviará este paso ya que el interés son las cabeceras 802.11. 2.3. A continuación, expandir el registro IEEE 802.11 Data de la trama de datos e inspeccionar los detalles de los diversos campos de la cabecera. Haciendo clic en el símbolo "[+]" se obtendrá una vista ampliada similar a la mostrada en la figura 2. Los campos que pueden verse en Wireshark son: • Frame control: codifica el tipo y subtipo de la trama, p.e. de datos, así como varias banderas de control (flags). Se verán estos campos con más detalle en breve. • Duration: este campo indica a los STA cuánto tiempo necesitan paquetes adicionales en el medio inalámbrico que forman parte de este intercambio. • BSS identifier (BSSID) es la dirección MAC del punto de acceso inalámbrico. • Source address/Destination address identifican a la estación que transmite el paquete y cuál debe recibirlo. • Fragment/Sequence number: Estos campos enumeran la trama por si es necesario su reensamblado y retransmisión. El número de secuencia se incrementa con cada nueva transmisión. • Frame Check Sequence (FCS): Es un CRC sobre la trama. Aunque va incluido al final de la trama (clic en él y verá su posición en el panel inferior) se muestra con los otros campos de cabecera 802.11 para mayor comodidad. • También puede existir un campo WEP, WPA o WPA2 con los parámetros de seguridad en el caso de que la carga útil de la trama vaya cifrada. Como no se profundiza en la seguridad inalámbrica en esta actividad, se pasará por alto este campo. 4 2.4. Por último, ampliar el campo de Control de tramas (Frame control) y examinarlo en detalle, incluyendo las banderas (flags) que se encuentran dentro. Véase la figura 3. Figura 3: Vista ampliada de los subcampos y banderas del campo Frame control. Todas las tramas 802.11 comienzan con un campo de Control de tramas (Frame control) que determina el formato del resto del mensaje según los subcampos y banderas (flags) incluidas. Éstos pueden ser similares a los de la trama de datos que se está analizando, o muy diferentes como en el caso, p.e. de una trama ACK que se verá más adelante. 5 Los subcampos y banderas que pueden aparecer en el campo Frame control de una trama de tipo Data son: • Version, con un valor igual a cero para la versión actual. • Type/Subtype permiten especificar el tipo de trama, por ejemplo, Data o ACK. • [-­‐] Flags: o To DS. Esta bandera se activa si la trama se envía desde una STA a la red cableada a través del AP2. o From DS. Esta bandera se activa si se envía la trama desde la red cableada a una STA a través del AP. o More Fragments. Establece si hay más de una trama para el mismo mensaje. o Retry. Establece si el trama es una retransmisión. o PWR MGT. Establece si el emisor pasará al ahorro de energía después de la transmisión. o More Data. Establece si el emisor tiene más tramas para enviar. o Protected flag. Establece si la trama está cifrada. o Order flag. Establece si el receptor debe mantener los tramas en orden. Diferentes STA pueden utilizar estos indicadores de manera diferente dependiendo de cómo implementen 802.11. Por ejemplo, algunos equipos pueden hacer un uso intensivo del ahorro de energía o de las características de cifrado, mientras otros no. Sumado al hecho de que hay docenas de diferentes tipos de tramas, significa que puede observarse todo tipo de tráfico inalámbrico en la mayoría de las capturas. Explora un poco más si eres curioso ... Paso 3: Capa Física 802.11 Ahora que existe cierta familiaridad con las tramas de datos 802.11, véase más de cerca las diferentes partes del sistema inalámbrico empezando por la capa física. En la capa más baja, enviar y recibir mensajes está relacionado de cerca con conceptos como la banda de frecuencia (canal), la modulación o la relación señal/ruido (SNR/Signal-­‐to-­‐Noise-­‐Rate). Pueden observarse todos estas características en Wireshark utilizando la información de la cabecera 802.11 plus radiotap. 3.1. Responda a las preguntas numeradas en este paso para explorar los aspectos de la capa física, comenzando con la banda de frecuencia (Channel frequency). La banda de frecuencia o canal es el mismo para todas las tramas de la captura, ya que el adaptador de red inalámbrico está configurado para escuchar en una frecuencia fija. 1. ¿Cuál es la frecuencia del canal usado? Para encontrar la frecuencia, expanda el encabezado Radiotap Header de cualquier trama y busque la frecuencia de canal. 2 AP, del inglés Access Point o punto de acceso. Un punto de acceso conecta a los clientes (o estaciones) inalámbricas a la LAN cableada. 6 Para conocer la modulación empleada, puede observar la velocidad de datos (Data Rate value), y para la SNR se puede observar el valor de señal SSI (SSI Signal) combinado con el valor de ruido SSI (SSI Noise). El valor de señal SSI es más comúnmente conocido como Indicación de fuerza de la señal recibida o RSSI (Received Signal Strength Indication). Estos campos variarán con los diferentes tipo de tramas. Para observarlos directamente es mejor añadirlos primero como nuevas columnas a la pantalla principal. Figura 4: Agregar columnas para RSSI y Rate. 3.2. Agregar dos nuevas columnas de visualización como RSSI (seleccionando como tipo de campo IEEE 802.11 RSSI) y Rate (seleccionando como tipo de campo IEEE 802.11 TX Rate) al panel superior de la interfaz de usuario. Para ello, ir a la opción de Preferences (en el menú Edit) y modificar la sección Columns de las opciones para User Interface como puede verse en la figura 4. Usted puede cambiar el orden de las columnas para que estén a la izquierda de la columna “Info” y mejorar así la visibilidad de estas nuevas columnas. 7 Figura 5: Captura inalámbrica mostrando la tasa de datos y RSSI para cada trama. Si observa la figura 5, podrán verse una variedad de velocidades o tasa de datos en la nueva columna “Rate”. Es decir, a diferencia de las red Ethernet cableada donde las tramas se envían a una tasa fija (después de la negociación del tipo de Ethernet), las velocidades inalámbricas varían dependiendo de las condiciones del enlace y capacidades de los STA. 2. ¿Qué tasas de datos se utilizan? Dé una lista ordenada de las tasas de menor a mayor. Sugerencia: puede hacer clic en la columna Rate para ordenar por ese valor. 8 Parámetros RSSI y SNR de una conexión inalámbrica: El indicación de fuerza de la señal recibida (RSSI/Received Signal Strength Indication) es una escala de referencia (en relación a 1 mW ó 0 dBm) para medir el nivel de potencia de las señales recibidas por un dispositivo en las redes inalámbricas (típicamente WiFi o telefonía móvil). Así, RSSI indica intensidad recibida y no calidad de señal, ya que ésta última se determina contrastando la intensidad de la señal respecto de la relación señal/ruido (SNR/Signal Noise Rate). Según el valor RSSI, se puede definir un enlace inalámbrico como: • -­‐80 dBm e inferiores: Enlace con cobertura muy baja. Señal justa para establecer una conexión con tasas de transferencia muy bajas. Pueden aparecer problemas de caídas frecuentes del enlace. • -­‐70 dBm: Enlace con cobertura normal-­‐baja. Tasas de transferencia bajas, y en ocasiones de lluvia y viento pueden aparecer problemas de conectividad. • -­‐60 dBm: Enlace con cobertura buena. Puede asegurar una conexión 80% estable y tasas de transferencia buenas. • -­‐40 dBm y superiores: Enlace con cobertura muy buena-­‐excelente. Se consiguen tasas de transferencias buenas y estables. • 0 dBm: Enlace con cobertura ideal. Señal idónea con tasas de transferencia estables. Por otro lado, la relación señal/ruido puede calcularse típicamente como: SNR = Signal Strength (-­‐dBm) – Signal Noise (-­‐dBm) En el caso de Wireshark, usa como valor de referencia Signal Noise (-­‐90 dBm), de ahí: SNR = RSSI -­‐ (-­‐90) = RSSI + 100 (Por ejemplo, -­‐80+90= 10 dB) Para este parámetro, cuánto mayor sea su valor, mayor será la calidad de la señal frente al ruido ambiental, y por tanto, mejor respuesta general del enlace inalámbrico. No obstante, RSSI puede variar en gran medida, lo que significa que algunas tramas tendrán una señal mucho más débil o más fuerte que otras. Variaciones de 40 dB son comunes, lo que significa que una trama puede ser 10.000 veces (escala logarítmica) más débil o más fuerte que otra trama recibida por la misma interfaz de red. 3. ¿Cuál es rango RSSI y por tanto la variación de SNR en la captura? Proporcione el valor RSSI más alto y también el más bajo, y calcule la diferencia entre ambos. 9 Paso 4: Capa Enlace de datos 802.11 4.1. Bajo el menú Statistics, seleccione Conversation List > WLAN (de LAN inalámbrica, es decir, 802.11). Esto abrirá una ventana como la mostrada en figura 6, que enumera cada par de comunicaciones capturadas. Puede ordenar la lista por tamaño haciendo clic en los encabezados de las columnas Packets o Bytes. Esta visión ayudará a explorar más la captura, comenzando con un resumen de la actividad de la capa de enlace. Figura 6: Conversaciones 802.11 ordenadas por tamaño. 4.2. Responda a las preguntas numeradas en este paso para explorar los aspectos de capa de enlace 802.11: 4. ¿Cuál es BSSID utilizado por las conversaciones inalámbricas más activas? Un valor de identificador BSS (BSSID) identifica a un AP. Para ayudar a encontrarlo, puede ordenar por la columna Address A o Address B que se muestran en la figura 6. 10 También puede identificarse los diferentes tipos de tráfico 802.11 que se han capturado a partir del tipo de trama, bien tramas de datos, control o gestión. Estas tramas se distinguen por el valor en el subcampo Type del campo Frame Control. Puede inspeccionar diferentes paquetes para ver los valores de los diferentes tipos de tramas. 4.3. Filtra para ver sólo los tramas de datos mediante la introducción de la expresión wlan.fc.type==2 o wlan.fc.type==”data frame” en el campo filtro, justo encima de la lista de tramas en el panel superior. Después de aplicar este filtro (véase figura 7), la línea de estado en la parte inferior mostrará cuántos paquetes de capturas se visualizan. Esto indica cuántas tramas de datos hay en la captura. Puede haber diferentes tipos de tramas de datos en función del valor del subcampo Subtype, como se indica en la columna de la Información. Puede hacer clic en esa columna para ordenar por tipo de trama y ver qué tipos son frecuentes. Figura 7: Filtrado de la captura inalámbrica por tramas de datos. 11 5. ¿Cuántas tramas de datos hay en la captura, y cuál es el subtipo más común de las tramas de datos? 4.4. Realice el mismo ejercicio para los tramas de control (tipo 1) y de gestión (tipo 0) cambiando la expresión de filtro. Esto le permitirá saber cuántas de esas tramas se encuentran en la captura, y sus tipos más prevalentes. 6. ¿Cuántas tramas de control están en la captura, y cuál es el subtipo más común? 7. ¿Cuántas tramas de gestión están en la captura, y cuál es el subtipo más común? Como se observa en estos diferentes tipos de tramas, en relación a la longitud de las mismas, las tramas de datos pueden tener un largo de hasta 1500 bytes. Sin embargo las tramas de gestión y de control suelen ser más cortas. La conclusión es que la mayoría de los bytes en la captura forman parte de tramas de datos, a pesar de que hay muchas otras tramas. Y esto es tranquilizador, ya que el objetivo de 802.11 es para transferir datos. 4.5. Inspeccione el registro IEEE 802.11 de una trama de reconocimiento o acuse (Acknowledgement frame/ACK). Localice en el listado una trama de este tipo. 8. Liste en el orden en que aparecen los campos IEEE 802.11 en un trama de reconocimiento y sus longitudes en bytes. No detallar los subcampos del campo Control de trama. 12 Para terminar, se analizará la fiabilidad de la comunicación inalámbrica. Típicamente se espera que las transmisiones inalámbricas no sean muy fiables en comparación con las transmisiones cableadas bien diseñadas, no obstante la tasa de error inalámbrico no debería ser muy elevada o gran parte del medio se desperdiciaría. Así, se podría estimar la tasa de retransmisión o comprobar cuántas tramas de datos tienen su bandera Retry activada en el campo Frame Control. Recuerde que este bit indica que la trama es una retransmisión de otra original. 4.6. Utilice expresiones de filtro para encontrar el número de tramas de datos que son originales y cuáles retransmisiones. Por ejemplo wlan.fc.type==2 && wlan.fc.retry==0 encontrará tramas de datos originales. 9. Presente una estimación de la tasa de retransmisión como el número de retransmisiones entre el número de transmisiones originales. Muestre su cálculo. Paso 5: Operación 802.11. Tramas de gestión A continuación, se analizarán los diferentes tipos de tramas de gestión que se emplean durante la operación de asociación entre una STA y un AP. Beacon Frames (balizas) 5.1. Seleccione un trama de Beacon en la captura cuyo BSSID sea el del AP principal de mayor uso según el paso anterior. Las tramas Beacon son enviadas periódicamente por un AP para anunciar su existencia y capacidad a los STA cercanos. El registro IEEE 802.11 para este tipo de trama es similar al registro de un trama de datos, pero con diferentes códigos de tipos y subtipos para indicar que se trata de una trama de baliza. Sin embargo, la carga útil de esta trama es diferente, en lugar de Data, ese registro se etiqueta como IEEE 802.11 wireless LAN management frame. Usted verá que después de algunos parámetros fijos (Fixed parameters) aparecen una serie de parámetros etiquetados (Tagged parameters) que enumeran las capacidades del AP. Estos incluyen, entre otros el SSID (SSID parameter set), las tasas de datos que soporta (Supported Rates) y el canal en el que está operando (DS parameter set). 5.2. Sobre la trama Beacon anterior, expande la información del registro de carga útil de la misma para ver sus parámetros y responder las siguientes preguntas: 10. ¿Cuál es el SSID del AP principal? Este es uno de los parámetros etiquetados en la trama de baliza. 13 11. ¿Con qué frecuencia se envían tramas Beacon por el AP principal? Se puede encontrar el intervalo dentro del registro Frame de cada Beacon, mirando el campo “Time delta from previous displayed frame”. También se puede cambiar la visualización de la columna “Time” para que muestre el tiempo transcurrido desde la última trama mostrada (opción de menú View > Time Display Format > "Seconds Since Previous Displayed Packet"). 12. ¿Qué tasas de datos admite el AP principal? Las tasas se muestran dentro de los parámetros etiquetados. 13. ¿Cuál es la tasa de datos de transmisión (Date Rate) de las tramas Beacon? La respuesta a esta pregunta se puede encontrar en el registro del encabezado Radiotap, o más convenientemente representada en la columna que se agregó en el paso anterior. Asociación Una vez que una STA ha aprendido de un punto de acceso a través de una baliza (Beacon) o de otra manera (p.e. manualmente), deberá asociarse con el AP y posiblemente autenticarse antes de que pueda utilizar la red inalámbrica. El STA enviará una Solicitud de asociación (Association Request) al AP hasta que se confirme. Si la asociación tiene éxito, entonces el AP devolverá una Respuesta de asociación (Association Response) que el equipo reconocerá. Después de los campos habituales de cabecera IEEE 802.11, una solicitud/respuesta de asociación lleva información que describe las capacidades del AP y el STA tales como la tasa de datas que soportan. De este modo, ambos puntos finales pueden conocer las capacidades del otro. 5.3. Buscar y examinar una solicitud de asociación y una respuesta de asociación para responder a esta pregunta: 14. ¿Cuáles son los valores de tipo y subtipo de tramas de solicitud de asociación / respuesta de asociación? Sugerencia: Se puede buscar un paquete a través de una palabra clave contenida en el campo Info. Para ello, ir a la opción de menú Edit > Find Packet > “By String” escribiendo en el campo Filter la palabra clave, p.e. association. 14 También podrían verse las tramas de solicitud de autenticación (Authentication Request) y de respuesta de autenticación (Authentication Response) anteriores a la asociación. Este es un comportamiento heredado (legacy); donde el tipo de autenticación solía ser "abierto" que significa que no proporciona seguridad. En cambio, si el STA y AP comparten una clave pre-­‐configurada con WEP/WPA/WPA2 (comportamiento moderno) un diálogo de autenticación 802.1X sucede después de la asociación a través de protocolos de capas superiores. Sonda de solicitud (Probe Request)/respuesta (Probe Response) Por último, se van a examinar brevemente las tramas de sonda (Probe). En lugar de que una STA quede a la espera de conocer un AP a través de sus Beacons, ésta puede sondear a APs específicos. Una sonda de solicitud (Probe Request) se envía por una STA para comprobar si un punto de acceso con un SSID específico está cerca. Si el AP buscado es cercano entonces responderá con una sonda de respuesta (Probe Response). Al igual que los tramas de baliza y asociación, cada una de estas tramas consta de una cabecera habitual y lleva una lista de parámetros que describen las capacidades del STA y AP. Es común que los STA envíen solicitudes de sondeo para redes inalámbricas que han utilizado previamente y así acelerar la conexión a una red conocida. 5.4. Buscar y examinar una sonda de solicitud y una sonda de respuesta para responder a esta pregunta: 15. ¿Cuáles son los valores de tipo y subtipo de tramas de sonda de solicitud / sonda de respuesta? ¡¡¡Felicidades!!! ahora sabe mucho más acerca de 802.11 en la práctica. 15
